Parlamentul României a emis Legea nr. 294 din 27 noiembrie 2024 privind rezilienţa entităţilor critice, precum şi pentru modificarea unor acte normative, act legislativ ce se regăsește publicat în Monitorul Oficial nr. 1189 din 29 noiembrie 2024, care intră în vigoare la data de 2 decembrie 2024. Prezenta lege stabileşte cadrul legal privind identificarea entităţilor critice, sprijinirea acestora în vederea consolidării rezilienţei, precum şi îmbunătăţirea cooperării transfrontaliere între autorităţile competente în vederea asigurării furnizării serviciilor esenţiale pe piaţa internă a Uniunii Europene, denumită în continuare piaţa internă. Coordonarea activităţilor desfăşurate de autorităţile competente desemnate conform art. 26 alin. (2) lit. b) din lege pentru identificarea entităţilor critice revine, în condiţiile prezentei legi, Centrului Naţional de Coordonare a Protecţiei Infrastructurilor Critice, structură fără personalitate juridică, din cadrul Ministerului Afacerilor Interne, denumit în continuare CNCPIC.

     Potrivit art. 2 din lege, toate entităţile cu personalitate juridică de drept public sau privat care desfăşoară activităţi în sectoarele şi subsectoarele prevăzute în anexa care face parte integrantă din lege au obligaţia de a participa la procesul de identificare a entităţilor critice.

     Autoritatea competentă sectorială este acea instituţie publică desemnată conform art. 26 alin. (2) lit. b) din lege, care, potrivit competenţelor şi atribuţiilor stabilite prin actele normative de organizare şi funcţionare proprii, răspunde de organizarea şi desfăşurarea activităţilor în domeniile corespunzătoare sectoarelor prevăzute în anexă. De asemenea, entitatea critică reprezintă o entitate publică sau privată, cu personalitate juridică, care a fost identificată în conformitate cu art. 6 din lege ca aparţinând uneia dintre categoriile menţionate în a treia coloană a tabelului din anexă.

     Rezilienţa entităţilor critice înseamnă capacitatea unei entităţi critice de a preveni un incident, de a oferi protecţie şi de a rezista în cazul producerii unui incident, de a răspunde la un incident, de a atenua un incident, de a absorbi un incident, de a se adapta unui incident şi de a se redresa în urma unui incident.

     CNCPIC iniţiază norme privind identificarea entităţilor critice de importanţă europeană deosebită, denumite în continuare ECIED, identificate în baza cerinţelor prevăzute la art. 17 din lege, şi privind evaluarea de către misiunile de consiliere a măsurilor pe care ECIED le-au pus în aplicare pentru a-şi îndeplini obligaţiile care le revin în temeiul cap. III, respectiv proceduri comune de cooperare şi raportare în ceea ce priveşte aplicarea prevederilor prezentei legi, precum şi măsuri menite să asigure un nivel ridicat al rezilienţei entităţilor critice pentru a asigura furnizarea serviciilor esenţiale şi pentru a îmbunătăţi funcţionarea pieţei interne.

     O entitate este ECIED atunci când îndeplineşte cumulativ următoarele condiţii:

1. a fost identificată ca entitate critică în temeiul art. 6 alin. (1) din lege;
2. furnizează servicii esenţiale identice sau similare pentru şase sau mai multe state membre sau pe teritoriul acestora;
3. a fost notificată în temeiul dispozițiilor de mai jos.

     Fiecare entitate critică identificată în temeiul art. 6 alin. (1) din lege este obligată să informeze ACS şi CNCPIC, în termen de 5 zile de la data notificării prevăzute la art. 6 alin. (3) din lege dacă furnizează servicii esenţiale în 6 sau mai multe state membre sau pe teritoriul acestora. Informarea detaliază care sunt serviciile esenţiale pe care le furnizează acelor state membre şi care sunt statele membre cărora sau pe teritoriul cărora furnizează serviciile esenţiale respective. CNCPIC notifică Comisia Europeană, fără întârzieri nejustificate, cu privire la identitatea entităţilor critice în cauză şi informaţiile puse la dispoziţie în temeiul prezentului alineat.

     CNCPIC, în urma notificării de către Comisia Europeană cu privire la decizia acesteia de a considera o entitate critică drept ECIED, transmite notificarea, fără întârzieri nejustificate, ACS şi respectivei entităţi critice. Entitatea critică duce la îndeplinire obligaţiile stabilite de Comisia Europeană în notificarea în cauză. În situaţia în care o entitate critică a fost consultată de către Comisia Europeană în urma notificării CNCPIC, aceasta are obligaţia de a răspunde respectivei solicitări şi de a informa CNCPIC şi ACS, cu privire la acest aspect. CNCPIC, în situaţia în care este consultat de către Comisia Europeană cu privire la o entitate critică identificată de către alt stat membru, are obligaţia să transmită dacă serviciile furnizate de aceasta României sau pe teritoriul naţional sunt servicii esenţiale.

     CNCPIC poate solicita Comisiei Europene să organizeze o misiune de consiliere, în vederea evaluării măsurilor puse în aplicare de ECIED identificată ca entitate critică în temeiul art. 6 alin. (1) din lege sau de către ECIED identificată ca entitate critică de alt stat membru şi care furnizează serviciul esenţial României sau pe teritoriul naţional, pentru a-şi îndeplini obligaţiile în temeiul cap. III.

     La cererea motivată a Comisiei Europene sau a unuia sau mai multor state membre cărora sau pe teritoriul cărora este furnizat serviciul esenţial de către o ECIED identificată de către CNCPIC ca entitate critică în temeiul art. 6 alin. (1) din lege, CNCPIC, pe baza datelor furnizate de ACS, pune la dispoziţia Comisiei Europene:

1. părţile relevante ale evaluării riscurilor efectuate;
2. o listă a măsurilor luate în conformitate cu art. 13 din lege;
3. măsurile de supraveghere sau de asigurare a respectării legislaţiei, inclusiv evaluări ale conformităţii sau ordine emise, pe care ACS le-a întreprins în temeiul art. 21 şi 23 din lege cu privire la entitatea critică respectivă.

     CNCPIC poate solicita, motivat, statului membru care a identificat o ECIED ca entitate critică în temeiul propriei legislaţii şi care furnizează serviciul esenţial României sau pe teritoriul naţional să pună la dispoziţia Comisiei Europene informaţiile de mai sus. Totodată, CNCPIC poate solicita Comisiei Europene, cu acordul entităţii critice în cauză, organizarea unor misiuni de consiliere pentru a oferi consultanţă entităţii critice respective în vederea îndeplinirii obligaţiilor care îi revin în temeiul cap. III. CNCPIC şi ECIED care au făcut obiectul misiunii de consiliere primesc constatările rezultate în urma acesteia.

     CNCPIC analizează conţinutul datelor conform constatărilor raportate de misiunea de consiliere şi, dacă este necesar, transmite Comisiei Europene opinia cu privire la respectarea sau nerespectarea, de către ECIED care furnizează serviciul esenţial României sau pe teritoriul naţional, a obligaţiilor care îi revin în temeiul cap. III, inclusiv cu luarea în considerare a prevederilor de mai sus şi, după caz, cu privire la măsurile care ar putea fi luate pentru a îmbunătăţi rezilienţa entităţii critice respective, în vederea primirii avizului Comisiei Europene.

     CNCPIC, ACS şi ECIED identificată ca entitate critică în temeiul art. 6 alin. (1) din lege şi care a făcut obiectul unei misiuni de consiliere ţin seama în mod corespunzător de avizul Comisiei Europene cu privire la respectarea sau nerespectarea, de către entitatea critică în cauză, a obligaţiilor care îi revin în temeiul cap. III şi furnizează informaţii Comisiei Europene şi statelor membre cărora sau pe teritoriul cărora este furnizat serviciul esenţial, cu privire la măsurile pe care le-au luat în temeiul avizului respectiv. CNCPIC şi ACS, corespunzător responsabilităţilor şi sectorului în care este identificată ECIED de pe teritoriul naţional, respectiv ECIED care furnizează serviciul esenţial României sau pe teritoriul naţional, desemnează experţi pentru fiecare misiune de consiliere, care sunt selectaţi de Comisia Europeană.

     La solicitarea scrisă a CNCPIC, realizată prin intermediul ACS, ECIED asigură misiunii de consiliere acces la informaţiile, sistemele şi instalaţiile legate de furnizarea serviciilor sale esenţiale care sunt necesare strict în scopul desfăşurării misiunii de consiliere. Misiunile de consiliere care au loc pe teritoriul naţional se desfăşoară în conformitate cu prevederile naţionale în ceea ce priveşte securitatea naţională şi protecţia intereselor naţionale în materie de securitate, respectând responsabilitatea autorităţilor naţionale competente în aceste domenii. În situaţia în care misiunea de consiliere se desfăşoară în România, CNCPIC informează GREC cu privire la principalele constatări ale misiunii de consiliere şi la lecţiile desprinse în vederea promovării învăţării reciproce.

Textul integral al Legii nr. 294/2024 privind rezilienţa entităţilor critice, disponibil AICI